SSTIC 2004: Détections Heuristiques en environnement Win32 Nicolas Brulez Silicon Realms

Transcription

1 SSTIC 2004: Détections Heuristiques en environnement Win32 Nicolas Brulez Silicon Realms

2 Introduction

3 Les différents types de virus Cryptés Oligomorphiques Polymorphiques Métamorphiques

4 Le Format PE Le MZ Header Le PE Header Le PE File Header Le PE optional Header Le Data Directory Les Sections Headers

5 Code Relogeable Les virus doivent pouvoir être exécutable à n importe quelle adresse mémoire. Le principe du code relogeable est un offset de référence aux données du virus. Les données se retrouvent toujours à même distance du début du virus par exemple, ce qui permet au virus, de retrouver ses données à n importe quelle adresse de chargement. Delta Offset.

6 Présentation de quelques types d'infections Win32

7 Emplacement du virus Dernière section: - Ajout de Section Avant: Après:

8 Dernière section: - Ajout de Section Emplacement du virus

9 Emplacement du virus Dernière section: - Agrandissement de la dernière section Avant: Après:

10 Emplacement du virus Dernière section: - Agrandissement de la dernière section

11 Infection du Header Emplacement du virus

12 Emplacement du virus «Cavity» Avant: Après:

13 Dans la dernière section Point d'entrée

14 Dans la première section Point d'entrée

15 Avant la première section Point d'entrée

16 Infection par modification de e_lfanew E_lfanew est un pointeur en MZ+3Ch qui contient l offset du PE Header. L infection par modification de e_lfanew consiste à ajouter le virus directement à la fin du fichier infecté, et à modifier le pointeur vers le PE Header pour que le loader de windows charge le virus à la place du binaire original. Le PE Header se retrouve alors très loin du début du fichier.

17 Les détections heuristiques Win32

18 Analyse de la structure PE Les détections heuristiques sont principalement basées sur l analyse de la structure des exécutables PE Windows: Point d Entrée Caractéristiques Sections Noms de sections Valeurs non mises à jours dans le Pe Header Placement du Pe Header dans le fichier

19 Analyse de la structure PE Point d'entrée dans la dernière section Point d'entrée avant la première section

20 Analyse de la structure PE Caractéristiques des sections: - Dernière section «exécutable» - Première section «Writeable» Nom des sections et leurs caractéristiques

21 Analyse de la Structure PE «Virtual Size» incorrect dans le PE Header PE Header en fin de fichier «Size of Code» incorrect

22 Analyse du code Instruction non standard au point d'entrée Calcul du delta offset Redirection de code Suspect: - JUMP FAR - PUSH RET

23 Analyse du code Recherche de fichiers PE Utilisation du PEB pour récupérer des adresses systemes Détection de code utilisant des adresses systemes «hardcodées»

24 Analyse du «code» Recherche de chaines de caractères particulières dans une section code. - "*.exe" - API et dll windows - Base de Registre

25 Emulation JMP FAR PUSH / RET Emulation des décrypteurs

26 Techniques Anti Heuristiques

27 Structure PE Non Modification des caractéristiques des sections Ajout de plusieurs sections Ajout d'un bout de code du virus dans la première section (point d'entrée tjs dans la section code) Packing de la section code et ajout du virus dans l'espace non utilisé Point d'entrée Obscure

28 Structure PE Patch des appels aux fonctions de l API Windows pour appeler le virus Patch du Stack Frame Calcul du Checksum du fichier PE Renomage des sections existantes «Size of Code» est corrigé

29 Anti Emulation SEH - Structured Exception Handling. Instructions du Co-Processeur MMX / SSE Instructions non documentées Code Anti Machine Virtuelle Couches de cryptage avec Auto brute force Threads

30 Code anti heuristique Le delta offset est obtenu différement Le code pour la recherche de fichiers PE est obscurci Les fonctions de l API Windows ne sont plus référencées directement (checksum)

31 Présentation d'un moteur Heuristique Perso

32 Présentation d'un moteur Heuristique Perso Analyse de binaires standards : notepad, regedit, calc, MS Pain, WordPad etc

33 Présentation d'un moteur Heuristique Perso

34 Présentation d'un moteur Heuristique Perso

35 Présentation d'un moteur Heuristique Perso

36 Présentation d'un moteur Heuristique Perso Analyse de binaires Infectés : Virus polymorphes, Cryptés, Standard, EPO etc

37 Présentation d'un moteur Heuristique Perso

38 Présentation d'un moteur Heuristique Perso

39 Présentation d'un moteur Heuristique Perso

40 Présentation d'un moteur Heuristique Perso

41 Présentation d'un moteur Heuristique Perso

42 Présentation d'un moteur Heuristique Perso

43 Présentation d'un moteur Heuristique Perso

44 Présentation d'un moteur Heuristique Perso

45 Présentation d'un moteur Heuristique Perso A Noter: Un outil de génération de virus a été publié recemment par un des groupes de création de virus les plus connus. Tout les virus générés sont détectés heuristiquement par le moteur.

46 Présentation d'un moteur Heuristique Perso Analyse de fichiers PE packés : PE protect, PEShield etc

47 Présentation d'un moteur Heuristique Perso

48 Présentation d'un moteur Heuristique Perso

49 Présentation d'un moteur Heuristique Perso

50 Conclusion

51 Questions?